Divulgation coordonnée

Principe et normes

La divulgation coordonnée organise le temps qui sépare la découverte d'une faille de sa publication. Le découvreur signale le défaut à l'éditeur, parfois par l'intermédiaire d'un coordinateur (un CERT national, un programme de bug bounty), un embargo court pendant que le correctif se prépare, puis la faille est publiée avec sa version corrigée et son identifiant CVE. L'ENISA la définit en 2022 comme « un processus par lequel les découvreurs de vulnérabilités travaillent ensemble et partagent l'information » ; à cette date, quatre États membres seulement disposaient d'une politique nationale, et la future directive NIS2 prévoyait d'en imposer une à chacun.

Deux normes ISO/IEC décrivent le processus. ISO/IEC 29147:2018 (deuxième édition, octobre 2018, confirmée en 2024) traite de la divulgation, c'est-à-dire de la réception des signalements et de la publication des avis par l'éditeur. ISO/IEC 30111:2019 (deuxième édition, octobre 2019, confirmée en 2025) traite du traitement interne de la vulnérabilité, de l'analyse à la correction. Le rapport technique ISO/IEC TR 5895:2022 précise leur application quand plusieurs parties sont impliquées. Au 21 octobre 2026, les deux normes restent en vigueur et l'ISO a enregistré, le 26 septembre 2025, un projet de troisième édition pour chacune.

Les délais : la référence Project Zero

Google Project Zero fixe la référence du marché avec un délai de 90 jours entre le signalement et la publication. Sa politique de 2021, dite « 90+30 », laisse 90 jours à l'éditeur pour corriger, puis 30 jours de délai d'adoption du correctif avant la publication des détails techniques. L'édition 2025 de la politique, signée Tim Willis le 29 juillet 2025, maintient ce cœur : « notre délai de divulgation de 90 jours reste en vigueur ».

La même édition ajoute un essai appelé Reporting Transparency : environ une semaine après avoir signalé une faille, Project Zero publie le nom de l'éditeur ou du projet, le produit concerné, la date du signalement et la date d'expiration du délai de 90 jours. Aucun détail technique ni preuve de concept ne sort avant l'échéance : les utilisateurs savent qu'un correctif est attendu, sans que les attaquants reçoivent de quoi le devancer.

Le cadre européen : CRA, plateforme unique et EUVD

Le règlement (UE) 2024/2847, dit Cyber Resilience Act, ajoute une obligation de signalement qui ne relève pas de la divulgation coordonnée volontaire : son article 14 impose aux fabricants de produits comportant des éléments numériques de notifier « toute vulnérabilité activement exploitée » dont ils ont connaissance, simultanément au CSIRT désigné comme coordinateur et à l'ENISA. Trois échéances s'enchaînent : une alerte précoce « sans retard injustifié et en tout état de cause dans les 24 heures », une notification de vulnérabilité dans les 72 heures, et un rapport final « au plus tard 14 jours après qu'une mesure correctrice ou d'atténuation est disponible ».

L'article 71 fixe le calendrier : le règlement s'applique à partir du 11 décembre 2027, mais l'article 14 s'applique depuis le 11 septembre 2026. Ce jour-là, l'ENISA a mis en service la plateforme unique de signalement (Single Reporting Platform, SRP), qui permet de « déclarer une fois » et transmet l'information au CSIRT compétent et à l'ENISA, le CSIRT coordinateur la relayant ensuite aux autres États membres où le produit est distribué. Depuis le 13 mai 2025, l'ENISA exploite aussi la base européenne de vulnérabilités (EUVD), prévue par la directive NIS2, qui agrège les avis des CSIRT, les correctifs des éditeurs, les données CVE et le catalogue KEV de la CISA.

En France, le CERT-FR, opéré par l'ANSSI, écrit sur sa page de services qu'il « assure le traitement coordonné des vulnérabilités qui lui sont signalées », via un formulaire de déclaration hébergé sur club.ssi.gouv.fr. Il joue le rôle de coordinateur pour les signalements CRA adressés à la France.

Le cas PHP2Shell

PHP2Shell montre un processus de divulgation coordonnée qui tient deux mois, puis dérape sur les dernières 48 heures. Wiz Research signale les deux failles du moteur PHP le 24 août 2026 ; l'équipe PHP accuse réception le 21 septembre et prépare un correctif coordonné avec les distributions Linux et les éditeurs. Selon watchTowr, cité par Tenable, la publication était prévue sous embargo le jeudi 22 octobre.

Le 20 octobre, les identifiants CVE circulent sur Hacker News et les réseaux sociaux, et une vidéo d'une chaîne d'exploitation est partagée. Le soir même, à 19h33, l'équipe PHP publie un préavis sur le Discourse de la PHP Foundation : sortie le mercredi 21 octobre à 14h00 UTC, avec une clause explicite : « nous nous réservons le droit de publier plus tôt si les détails de l'une des vulnérabilités deviennent publics » ou « si nous voyons des preuves d'exploitation active ». Les versions corrigées sont sorties le 21 octobre, en avance sur l'horaire annoncé. Le CERT-FR a publié le jour même l'alerte CERTFR-2026-ALE-014, en précisant que les contournements provisoires « ne sont pas qualifiés par le CERT-FR » et en recommandant la migration vers une version maintenue.

La clause de préavis de PHP résume la règle non écrite du secteur : l'embargo protège les utilisateurs tant qu'il reste étanche, et il saute dès qu'une fuite ou une exploitation le rend contre-productif.

L'argument nouveau : la « Defender's Window »

La recherche de vulnérabilités par IA change les proportions du processus. OpenAI nomme « Defender's Window » le temps gagné quand « l'IA frontier a trouvé ces vulnérabilités avant les attaquants », et s'attend à ce que ces découvertes « augmentent fortement dans les mois à venir ». Le programme Patch the Planet est construit sur ce principe : trouver par IA, relire par des humains, corriger sous embargo, publier.

L'embargo prend donc une valeur nouvelle. Wiz écrit que les mêmes modèles aident à « adapter un exploit à différentes versions, configurations et dispositions mémoire », et le Google Threat Intelligence Group mesure, au 30 septembre 2026, 18 vulnérabilités exploitées par mois contre 10,5 en 2025. Avec un correctif rattrapé en heures, la divulgation coordonnée n'est plus une courtoisie entre chercheurs et éditeurs : c'est le seul moment où le défenseur a de l'avance.